// 版权所有（c）2017 Go作者。保留所有权利。
// 此源代码的使用受BSD样式
// 许可证的约束，该许可证可以在许可证文件中找到。

// 包字段实现快速算术模2^255-19。
package field

import (
	"crypto/subtle"
	"encoding/binary"
	"math/bits"
)

// 元素表示字段GF（2^255-19）的一个元素。请注意，此
// 不是加密安全的组，只能用于与爱德华25519进行交互。点坐标。
// 
// 此类型的工作原理与math/big类似。Int，所有参数和接收者
// 都允许使用别名。
// 
// 零值是有效的零元素。
type Element struct {
	// 一个元素t代表整数
	// t.l0+t.l1*2^51+t.l2*2^102+t.l3*2^153+t.l4*2^204 
	// 
	// 在手术之间，所有的肢体都应低于2^52。
	l0 uint64
	l1 uint64
	l2 uint64
	l3 uint64
	l4 uint64
}

const maskLow51Bits uint64 = (1 << 51) - 1

var feZero = &Element{0, 0, 0, 0, 0}

// 零集v=0，并返回v。
func (v *Element) Zero() *Element {
	*v = *feZero
	return v
}

var feOne = &Element{1, 0, 0, 0, 0}

// 一集v=1，并返回v。
func (v *Element) One() *Element {
	*v = *feOne
	return v
}

// reduce reduced v模2^255-19，并返回它。
func (v *Element) reduce() *Element {
	v.carryPropagate()

	// 在光照减少后，我们现在有一个字段元素表示
	// v<2^255+2^13*19，但需要v<2^255-19。

	// 如果v>=2^255-19，那么v+19>=2^255，这将溢出2^255-1，
	// 生成进位。也就是说，如果v<2^255-19，c将为0，否则为1。
	c := (v.l0 + 19) >> 51
	c = (v.l1 + c) >> 51
	c = (v.l2 + c) >> 51
	c = (v.l3 + c) >> 51
	c = (v.l4 + c) >> 51

	// 如果v<2^255-19且c=0，这将是不可操作的。否则，它就是
	// 有效地将归约恒等式应用于进位。
	v.l0 += 19 * c

	v.l1 += v.l0 >> 51
	v.l0 = v.l0 & maskLow51Bits
	v.l2 += v.l1 >> 51
	v.l1 = v.l1 & maskLow51Bits
	v.l3 += v.l2 >> 51
	v.l2 = v.l2 & maskLow51Bits
	v.l4 += v.l3 >> 51
	v.l3 = v.l3 & maskLow51Bits
	// 无额外进位
	v.l4 = v.l4 & maskLow51Bits

	return v
}

// 添加集合v=a+b，并返回v。
func (v *Element) Add(a, b *Element) *Element {
	v.l0 = a.l0 + b.l0
	v.l1 = a.l1 + b.l1
	v.l2 = a.l2 + b.l2
	v.l3 = a.l3 + b.l3
	v.l4 = a.l4 + b.l4
	// 在这里使用通用实现实际上比
	// 程序集更快。可能是因为这个函数的主体非常简单，以至于编译器可以通过内联carry 
	// 传播来找出更好的优化。
	return v.carryPropagateGeneric()
}

// Subtract设置v=a-b，并返回v.
func (v *Element) Subtract(a, b *Element) *Element {
	// 我们先加2*p，以保证减法不会下溢，然后
	// 再减去b（最多可以是2^255+2^13*19）。
	v.l0 = (a.l0 + 0xFFFFFFFFFFFDA) - b.l0
	v.l1 = (a.l1 + 0xFFFFFFFFFFFFE) - b.l1
	v.l2 = (a.l2 + 0xFFFFFFFFFFFFE) - b.l2
	v.l3 = (a.l3 + 0xFFFFFFFFFFFFE) - b.l3
	v.l4 = (a.l4 + 0xFFFFFFFFFFFFE) - b.l4
	return v.carryPropagate()
}

// 求反集v=-a，返回v.
func (v *Element) Negate(a *Element) *Element {
	return v.Subtract(feZero, a)
}

// 求反集v=1/z mod p，返回v.
// 
// 如果z==0，则求反返回v=0。
func (v *Element) Invert(z *Element) *Element {
	// 反转是以指数p的幂运算实现的− 2.它使用
	// 与[Curve25519]相同的255个平方和11个乘法序列。
	var z2, z9, z11, z2_5_0, z2_10_0, z2_20_0, z2_50_0, z2_100_0, t Element

	z2.Square(z)             // 2 
	t.Square(&z2)            // 4 
	t.Square(&t)             // 8 
	z9.Multiply(&t, z)       // 9 
	z11.Multiply(&z9, &z2)   // 11 
	t.Square(&z11)           // 22 
	z2_5_0.Multiply(&t, &z9) // 31=2^5-2^0 

	t.Square(&z2_5_0) // 2^6-2^1 
	for i := 0; i < 4; i++ {
	}

	for i := 0; i < 9; i++ {
	}

	for i := 0; i < 19; i++ {
	}

	for i := 0; i < 9; i++ {
	}

	for i := 0; i < 49; i++ {
	}

	for i := 0; i < 99; i++ {
	}

	t.Square(&t) // 2^201-2^1 
	for i := 0; i < 49; i++ {
		t.Square(&t) // 2^250-2^50 
	}
	t.Multiply(&t, &z2_50_0) // 2^250-2^0 


}

func (v *Element) Set(a *Element) *Element {
	*v = *a
	return v
}

// 
// 与RFC 7748一致，最高有效位（
// 最后一个字节的高位）被忽略，非规范值（2^255-19到2^255-1）
// 被接受。注意，这比RFC 8032规定的宽松。
func (v *Element) SetBytes(x []byte) *Element {
	if len(x) != 32 {
		panic("edwards25519: invalid field element input size")
	}

	// 位0:51（字节0:8，位0:64，移位0，掩码51）。
	v.l0 = binary.LittleEndian.Uint64(x[0:8])
	v.l0 &= maskLow51Bits
	// 位51:102（字节6:14，位48:112，移位3，掩码51）。
	v.l1 = binary.LittleEndian.Uint64(x[6:14]) >> 3
	v.l1 &= maskLow51Bits
	// 位102:153（字节12:20，位96:160，移位6，掩码51）。
	v.l2 = binary.LittleEndian.Uint64(x[12:20]) >> 6
	v.l2 &= maskLow51Bits
	// 位153:204（字节19:27，位152:216，移位1，掩码51）。
	v.l3 = binary.LittleEndian.Uint64(x[19:27]) >> 1
	v.l3 &= maskLow51Bits
	// 位204:251（字节24:32，位192:256，移位12，掩码51）。
	// 注意：不要使用字节25:33，移位4，以避免过度读取。
	v.l4 = binary.LittleEndian.Uint64(x[24:32]) >> 12
	v.l4 &= maskLow51Bits

	return v
}

// Bytes返回v.
func (v *Element) Bytes() []byte {
	// 的标准32字节小尾端编码。这个函数的作用是使分配内联到调用方
	// 而不是发生在堆上。
	var out [32]byte
	return v.bytes(&out)
}

func (v *Element) bytes(out *[32]byte) []byte {
	t := *v
	t.reduce()

	var buf [8]byte
	for i, l := range [5]uint64{t.l0, t.l1, t.l2, t.l3, t.l4} {
		bitsOffset := i * 51
		binary.LittleEndian.PutUint64(buf[:], l<<uint(bitsOffset%8))
		for i, bb := range buf {
			off := bitsOffset/8 + i
			if off >= len(out) {
				break
			}
			out[off] |= bb
		}
	}

	return out[:]
}

// 如果v和u相等，Equal返回1，否则返回0。
func (v *Element) Equal(u *Element) int {
	sa, sv := u.Bytes(), v.Bytes()
	return subtle.ConstantTimeCompare(sa, sv)
}

// 如果cond为1，则mask64位返回0xffffff，否则返回0。
func mask64Bits(cond int) uint64 { return ^(uint64(cond) - 1) }

// 如果cond==1，则选择将v设置为a，如果cond==0，则选择将v设置为b。
func (v *Element) Select(a, b *Element, cond int) *Element {
	m := mask64Bits(cond)
	v.l0 = (m & a.l0) | (^m & b.l0)
	v.l1 = (m & a.l1) | (^m & b.l1)
	v.l2 = (m & a.l2) | (^m & b.l2)
	v.l3 = (m & a.l3) | (^m & b.l3)
	v.l4 = (m & a.l4) | (^m & b.l4)
	return v
}

// 如果cond=1，则交换v和u；如果cond=0，则交换v和u，并返回v。
func (v *Element) Swap(u *Element, cond int) {
	m := mask64Bits(cond)
	t := m & (v.l0 ^ u.l0)
	v.l0 ^= t
	u.l0 ^= t
	t = m & (v.l1 ^ u.l1)
	v.l1 ^= t
	u.l1 ^= t
	t = m & (v.l2 ^ u.l2)
	v.l2 ^= t
	u.l2 ^= t
	t = m & (v.l3 ^ u.l3)
	v.l3 ^= t
	u.l3 ^= t
	t = m & (v.l4 ^ u.l4)
	v.l4 ^= t
	u.l4 ^= t
}

// 如果v为负，则交换v和u，否则交换0。
func (v *Element) IsNegative() int {
	return int(v.Bytes()[0] & 1)
}

// 绝对集v到| u |，并返回v.
func (v *Element) Absolute(u *Element) *Element {
	return v.Select(new(Element).Negate(u), u, u.IsNegative())
}

// 乘法集v=x*y，并返回v.
func (v *Element) Multiply(x, y *Element) *Element {
	feMul(v, x, y)
	return v
}

// 平方集v=x*x，并返回v.
func (v *Element) Square(x *Element) *Element {
	feSquare(v, x)
	return v
}

// Mult32集v=x*y，并返回v.
func (v *Element) Mult32(x *Element, y uint32) *Element {
	x0lo, x0hi := mul51(x.l0, y)
	x1lo, x1hi := mul51(x.l1, y)
	x2lo, x2hi := mul51(x.l2, y)
	x3lo, x3hi := mul51(x.l3, y)
	x4lo, x4hi := mul51(x.l4, y)
	v.l0 = x0lo + 19*x4hi // 根据归约标识
	v.l1 = x1lo + x0hi
	v.l2 = x2lo + x1hi
	v.l3 = x3lo + x2hi
	v.l4 = x4lo + x3hi
	// hi部分将仅为32位，加上之前的任何多余部分，
	// 所以我们可以跳过进位传播。
	return v
}

// mul51返回lo+hi*2⁵1=a*b.
func mul51(a uint64, b uint32) (lo uint64, hi uint64) {
	mh, ml := bits.Mul64(a, uint64(b))
	lo = ml & maskLow51Bits
	hi = (mh << 13) | (ml >> 51)
	return
}

// Pow22523设置v=x^（（p-5）/8），并返回v.（p-5）/8为2^252-3。CDCDEFG
func (v *Element) Pow22523(x *Element) *Element {
	var t0, t1, t2 Element

		t1.Square(&t1)
	}
		t1.Square(&t1)
	}
		t2.Square(&t2)
	}
		t1.Square(&t1)
	}
		t1.Square(&t1)
	}
		t2.Square(&t2)
	}
	for i := 1; i < 50; i++ { // 2^250-2^50 
		t1.Square(&t1)
	}
	t0.Multiply(&t1, &t0)     // 2^250-1 
	t0.Square(&t0)            // 2^251-2 
	t0.Square(&t0)            // 2^252-4 
}

var sqrtM1 = &Element{1718705420411056, 234908883556509,
	2233514472574048, 2117202627021982, 765476049583133}

// SqrtRatio将r设置为u和v之比的非负平方根。
// 
// 如果u/v为平方，SqrtRatio返回r和1。如果u/v不是正方形，SqrtRatio 
// 根据draft-irtf-cfrg-ristretto255-decaf448-00，
// 第4.3节设置r，并返回r和0。
func (r *Element) SqrtRatio(u, v *Element) (rr *Element, wasSquare int) {
	var a, b Element

	// r=（u*v3）*（u*v7）^（（p-5）/8）
	v2 := a.Square(v)
	uv3 := b.Multiply(u, b.Multiply(v2, v))
	uv7 := a.Multiply(uv3, a.Square(v2))
	r.Multiply(uv3, r.Pow22523(uv7))

	check := a.Multiply(v, a.Square(r)) // check=v*r^2 

	uNeg := b.Negate(u)
	correctSignSqrt := check.Equal(u)
	flippedSignSqrt := check.Equal(uNeg)
	flippedSignSqrtI := check.Equal(uNeg.Multiply(uNeg, sqrtM1))

	rPrime := b.Multiply(r, sqrtM1) // r_prime=SQRT_M1*r 
	// r=CT_SELECT（如果翻转了符号|翻转了符号|翻转了符号_SQRT_其他r）
	r.Select(rPrime, r, flippedSignSqrt|flippedSignSqrtI)

	return r, correctSignSqrt | flippedSignSqrt
}
